MAP

Jak identifikovat, dokumentovat a klasifikovat AI systémy a jejich rizika

NIST AI RMF funkce: MAP Subkategorie: MP-1 až MP-5

1. Přehled funkce MAP

MAP funkce slouží k pochopení kontextu, ve kterém AI systémy operují, a k identifikaci souvisejících rizik.

Cíle MAP

Cíl	Popis
Kontext	Pochopit intended use a operational context
Stakeholdeři	Identifikovat všechny dotčené strany
Rizika	Zmapovat potenciální rizika a dopady
Klasifikace	Kategorizovat systémy dle rizikovosti
Dokumentace	Vytvořit kompletní dokumentaci

2. MP-1: Intended Purpose & Context

2.1 Definice intended use

Pro každý AI systém zdokumentujte:

## AI SYSTEM: [Název]

### 1. Primární účel
- Co systém dělá?
- Jaký business problém řeší?
- Jaká je cílová metrika úspěchu?

### 2. Intended users
- Kdo bude systém používat?
- Jaká je jejich úroveň AI literacy?
- Jaký mají přístup k výsledkům?

### 3. Intended beneficiaries
- Kdo benefituje z výstupů systému?
- Jsou to stejné osoby jako users?

### 4. Operational context
- V jakém prostředí bude systém nasazen?
- Jaké jsou časové/prostorové omezení?
- Jaká je kritičnost systému?

### 5. Known limitations
- Co systém NEDĚLÁ?
- Jaké jsou známé edge cases?
- Jaké jsou performance hranice?

### 6. Misuse potential
- Jak by mohl být systém zneužit?
- Jaká preventivní opatření jsou na místě?

2.2 Context mapping

3. MP-2: Stakeholder identification

3.1 Kategorie stakeholderů

Kategorie	Popis	Příklady
AI Actors	Ti, kdo vyvíjejí/nasazují AI	Developers, Operators
Direct Users	Ti, kdo přímo používají AI	Zaměstnanci, Zákazníci
Affected Individuals	Ti, na které AI dopadá	Subjekty rozhodnutí
Affected Communities	Širší komunity dotčené AI	Demografické skupiny
Oversight Bodies	Ti, kdo dohlížejí	Regulátoři, Auditors

3.2 Stakeholder matrix

Stakeholder	Zájem	Vliv	Engagement strategie
End users	Vysoký	Střední	Informovat, vzdělávat
Affected individuals	Vysoký	Nízký	Transparentnost, práva
Regulátoři	Střední	Vysoký	Compliance, reporting
Management	Vysoký	Vysoký	Rozhodování, governance
Data subjects	Vysoký	Nízký	GDPR práva, consent

3.3 Impact na stakeholdery

Pro každou skupinu stakeholderů vyhodnoťte:

Dopad	Otázky	Závažnost
Ekonomický	Ovlivňuje finance, zaměstnání?
Zdravotní	Může způsobit fyzickou/psychickou újmu?
Právní	Ovlivňuje právní postavení?
Sociální	Ovlivňuje sociální status, reputaci?
Autonomie	Omezuje svobodu rozhodování?

4. MP-3: AI System Inventory

4.1 Inventura - template

# AI SYSTEM INVENTORY

## System ID: AI-2025-XXX

### Basic Information
| Field | Value |
|-------|-------|
| Name | |
| Description | |
| Department | |
| Status | ☐ Development ☐ Testing ☐ Production ☐ Retired |

### Classification
| Field | Value |
|-------|-------|
| Type | ☐ Internal ☐ Third-party ☐ Embedded |
| Category | ☐ ML Model ☐ GAI ☐ Rule-based ☐ Hybrid |
| EU AI Act Risk | ☐ Prohibited ☐ High ☐ Limited ☐ Minimal |

### Data
| Field | Value |
|-------|-------|
| Training data sources | |
| Inference data types | |
| Contains PII? | ☐ Yes ☐ No |
| Special categories (Art. 9)? | ☐ Yes ☐ No |

### Technical
| Field | Value |
|-------|-------|
| Model type/architecture | |
| Hosting | ☐ On-premise ☐ Cloud ☐ Hybrid |
| Integration points | |

### Governance
| Field | Value |
|-------|-------|
| Pre-deployment review date | |
| Last review date | |
| Next review date | |
| DPIA required? | ☐ Yes ☐ No |
| DPIA completed? | ☐ Yes ☐ No ☐ N/A |

4.2 Kategorizace AI systémů

Dle typu

Kategorie	Popis	Příklady
ML/DL Models	Statistické modely	Churn prediction, Image classification
Generative AI	Modely generující obsah	ChatGPT, Claude, DALL-E
Rule-based AI	Expertní systémy, decision trees	Business rules engines
Robotic Process Automation	Automatizace procesů	UiPath, Power Automate
Embedded AI	AI v produktech	Smart devices, Vehicles

Dle deployment modelu

Model	Kontrola dat	Kontrola modelu	Příklady
Vlastní vývoj	Plná	Plná	In-house ML
Fine-tuned	Částečná	Částečná	Fine-tuned LLM
API/SaaS	Minimální	Žádná	OpenAI API
Embedded	Žádná	Žádná	AI v produktech

5. MP-4: Risk Identification

5.1 EU AI Act klasifikace

Krok 1: Prohibited practices check (Art. 5)

Praktika	Popis	Status
Social scoring	Hodnocení fyzických osob	☐ Ano → STOP
Manipulativní AI	Podprahové techniky	☐ Ano → STOP
Exploitace zranitelných	Zneužití věku, postižení	☐ Ano → STOP
Biometrická kategorizace	Odvozování citlivých údajů	☐ Ano → STOP
Facial recognition scraping	Neselektivní sběr obličejů	☐ Ano → STOP
Emotion recognition	V práci/vzdělávání	☐ Ano → STOP
Real-time biometrie	Ve veřejných prostorách	☐ Ano → STOP

Pokud ANO na cokoliv → ZAKÁZÁNO, nepoužívat

Krok 2: High-risk check (Annex III)

Oblast	Příklady	Platí?
Biometrie	Identifikace, kategorizace	☐
Kritická infrastruktura	Energie, doprava, voda	☐
Vzdělávání	Přijímání, hodnocení	☐
Zaměstnanost	Recruitment, hodnocení, propouštění	☐
Základní služby	Úvěry, pojištění, sociální dávky	☐
Law enforcement	Prediktivní policie, profiling	☐
Migrace	Visa, žádosti o azyl	☐
Justice	Rozhodování soudů	☐

Pokud ANO → High-risk, full compliance required

Krok 3: Limited risk check (Art. 50)

Systém	Povinnost	Platí?
Chatbot interagující s lidmi	Informovat o AI	☐
Emotion recognition	Informovat o použití	☐
Biometric categorization	Informovat o použití	☐
Deep fakes	Označit jako syntetické	☐
AI-generated obsah	Označit jako AI-generated	☐

Pokud ANO → Transparency obligations

5.2 NIST Risk categories

12 kategorií rizik dle NIST AI 600-1 (pro GAI):

#	Riziko	Popis	Priorita
R1	CBRN	Informace o zbraních	Critical
R2	Confabulation	Halucinace, nepravdy	Critical
R3	Dangerous Content	Škodlivý obsah	Critical
R4	Data Privacy	Únik osobních údajů	Critical
R5	Environmental	Carbon footprint	Medium
R6	Harmful Bias	Diskriminace	Critical
R7	Human-AI Config	Automation bias	High
R8	Information Integrity	Dezinformace	Critical
R9	Information Security	Kyberútoky	Critical
R10	Intellectual Property	Copyright	High
R11	Obscene Content	CSAM, NCII	Critical
R12	Value Chain	Supply chain rizika	High

6. MP-5: Impact Assessment

6.1 AI Impact Assessment (AIIA)

Struktura AIIA:

# AI IMPACT ASSESSMENT

## 1. System Overview
- System ID:
- Purpose:
- Owner:

## 2. Stakeholder Analysis
| Stakeholder | Positive Impact | Negative Impact | Mitigation |
|-------------|-----------------|-----------------|------------|
| | | | |

## 3. Rights & Freedoms Impact
| Right/Freedom | Impact Level | Justification | Safeguards |
|---------------|--------------|---------------|------------|
| Privacy | | | |
| Non-discrimination | | | |
| Human dignity | | | |
| Freedom of expression | | | |

## 4. Risk Assessment
| Risk | Likelihood | Severity | Score | Mitigation |
|------|------------|----------|-------|------------|
| | L/M/H | L/M/H | | |

## 5. Proportionality
- Is AI necessary for this purpose?
- Are there less invasive alternatives?
- Is the benefit proportional to the risk?

## 6. Safeguards
| Safeguard | Implementation | Status |
|-----------|----------------|--------|
| Human oversight | | |
| Appeal mechanism | | |
| Transparency notice | | |

## 7. Conclusion
☐ Approved - proceed with safeguards
☐ Approved with conditions
☐ Not approved - unacceptable risk

## 8. Signatures
| Role | Name | Date | Signature |
|------|------|------|-----------|
| AI Owner | | | |
| DPO | | | |
| Legal | | | |

6.2 DPIA Integration

Kdy je potřeba DPIA (dle GDPR Art. 35):

Automatizované rozhodování s právními účinky
Systematické monitorování veřejných prostor
Zpracování citlivých údajů ve velkém měřítku
Systematické hodnocení osobních aspektů

AIIA + DPIA kombinace:

7. Implementační checklist

Fáze 1: Inventura (Týden 1-2)

Identifikovat všechny AI systémy v organizaci
Pro každý systém vyplnit základní inventární kartu
Kategorizovat dle typu (ML/GAI/Rule-based)
Identifikovat ownery

Fáze 2: Klasifikace (Týden 3-4)

Pro každý systém provést EU AI Act klasifikaci
Identifikovat high-risk systémy
Mapovat na NIST risk kategorie (pro GAI)
Prioritizovat dle rizikovosti

Fáze 3: Impact Assessment (Týden 5-8)

Provést AIIA pro high-risk systémy
Provést DPIA kde vyžadováno
Identifikovat stakeholdery a dopady
Navrhnout mitigační opatření

Fáze 4: Dokumentace (Ongoing)

Centralizovat inventuru
Nastavit review cyklus
Integrovat s change management
Automatizovat kde možné

8. Nástroje a šablony

Nástroj	Účel	Lokace
AI Inventory Template	Evidence AI systémů	`/templates/open/`
Risk Classification Checklist	EU AI Act klasifikace	`/templates/open/`
GAI Risk Assessment	12 GAI rizik	`/templates/open/assessments/`
DPIA Template	Data protection assessment	`/templates/open/assessments/`

Pokračujte na MEASURE pro implementaci MEASURE funkce.

AI-Native Entry Framework | CC BY-NC-SA 4.0